Andariel, una amenaza alineada con Corea del Norte, utilizó un malware no documentado anteriormente llamado EarlyRat en ataques de phishing, añadiendo otra pieza al amplio conjunto de herramientas del grupo.
"Andariel infecta las máquinas mediante la ejecución de un exploit Log4j, que, a su vez, descarga más malware desde el servidor de comando y control (C2)", afirma Kaspersky en un nuevo informe.
También llamado Silent Chollima y Stonefly, Andariel está asociado con el Lab 110 de Corea del Norte, una unidad de hacking primaria que también alberga APT38 (aka BlueNoroff) y otros elementos subordinados rastreados colectivamente bajo el nombre paraguas Lazarus Group.
Además de realizar ataques de espionaje contra entidades gubernamentales y militares extranjeras de interés estratégico, se sabe que este agente de amenazas lleva a cabo ciberdelitos como fuente adicional de ingresos para la nación afectada por las sanciones.
Algunas de las armas cibernéticas clave de su arsenal incluyen una cepa de ransomware denominada Maui y numerosos troyanos de acceso remoto y puertas traseras como Dtrack (alias Valefor y Preft), NukeSped (alias Manuscrypt), MagicRAT y YamaBot.
NukeSped contiene una serie de funciones para crear y terminar procesos y mover, leer y escribir archivos en el host infectado. El uso de NukeSped se solapa con una campaña rastreada por la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE.UU. bajo el nombre de TraderTraitor.
El uso por parte de Andariel de la vulnerabilidad Log4Shell en servidores VMware Horizon sin parches fue documentado previamente por AhnLab Security Emergency Response Center (ASEC) y Cisco Talos en 2022.
La última cadena de ataques descubierta por Kaspsersky muestra que EarlyRat se propaga mediante correos electrónicos de phishing que contienen documentos señuelo de Microsoft Word. Cuando se abren los archivos, se pide a los destinatarios que habiliten las macros, lo que conduce a la ejecución del código VBA responsable de la descarga del troyano.
Descrito como una puerta trasera simple pero limitada, EarlyRat está diseñado para recopilar y filtrar información del sistema a un servidor remoto, así como ejecutar comandos arbitrarios. También comparte similitudes de alto nivel con MagicRAT, por no mencionar que está escrito utilizando un framework llamado PureBasic. MagicRAT, por su parte, emplea el framework Qt.
Otra táctica invisible observada en ataques que explotaban la vulnerabilidad Log4j Log4Shell el año pasado se refiere al uso de herramientas legítimas disponibles en el mercado como 3Proxy, ForkDump, NTDSDumpEx, Powerline y PuTTY para explotar aún más el objetivo.
"A pesar de ser un grupo APT, Lazarus es conocido por realizar tareas típicas de la ciberdelincuencia, como el despliegue de ransomware, lo que complica el panorama de la ciberdelincuencia", dijo Kaspersky. "Además, el grupo utiliza una amplia variedad de herramientas personalizadas, actualizando constantemente las existentes y desarrollando nuevo malware".
Fuente: thehackernews